Alibaba Cloud CLI:Configure advanced Alibaba Cloud CLI credentials (OIDC / CloudSSO / External / CredentialsURI / BearerToken)

Pré-requisitos

• Você criou um cluster ACK ou ACS e ativou o recurso RRSA para ACK ou ACS.

• Você criou uma função do RAM para o provedor de identidade OIDC e a política de confiança permite que o provedor de identidade OIDC criado automaticamente pelo cluster assuma a função no formato ack-rrsa-{cluster-id}.

• Você associou a conta de serviço do pod à função do RAM usando o RRSA.

Configurar a credencial

aliyun configure set \
  --mode OIDC \
  --profile OIDCProfile \
  --oidc-provider-arn $ALIBABA_CLOUD_OIDC_PROVIDER_ARN \
  --oidc-token-file $ALIBABA_CLOUD_OIDC_TOKEN_FILE \
  --ram-role-arn $ALIBABA_CLOUD_ROLE_ARN \
  --role-session-name "rrsa-pod" \
  --region cn-shanghai

Execute aliyun sts get-caller-identity no pod para verificar as credenciais.

Renovação de credenciais

O cluster rotaciona automaticamente o arquivo de token OIDC no pod. A CLI chama a API AssumeRoleWithOIDC do STS com o token mais recente para renovar a credencial. Nenhuma ação do usuário é necessária.

Pré-requisitos

• Sua empresa implantou o CloudSSO e configurou um diretório de usuários e configurações de acesso.

• O usuário do CloudSSO recebeu pelo menos uma configuração de acesso.

• Você possui a URL de logon do CloudSSO fornecida pelo administrador, geralmente no formato https://signin-<region>.alibabacloudsso.com/<directory-name>/login. Obter a URL do portal do usuário.

Configurar a credencial

1. Execute o comando a seguir para iniciar a configuração. Substitua <ProfileName> por um nome de perfil personalizado, como SSOProfile.

   aliyun configure --mode CloudSSO --profile <ProfileName>

2. Quando solicitado, insira a SignIn Url.

   Configuring profile 'SSOProfile' in 'CloudSSO' authenticate mode...
   CloudSSO Sign In Url []: https://signin-<region>.alibabacloudsso.com/<directory-name>/login

3. Siga as instruções do navegador para concluir o logon no CloudSSO. Após fazer login, feche o navegador.

   Nota

   Se nenhum navegador abrir, copie a SignIn url e o User code da saída da CLI e cole-os em um navegador.

   Veja um exemplo de prompt:

   If the browser does not open automatically, use the following URL to complete the login process:
   
   SignIn url: https://signin-****.alibabacloudsso.com/device/code
   User code: CGKM-LIXZ

4. Após o logon bem-sucedido, a CLI lista as contas acessíveis. Insira o número da conta de destino.

   Now you can login to your account with SSO configuration in the browser.
   You have successfully logged in.
   Please choose an account:
   1. <RD Management Account>
   2. <other-account-name>
   Please input the account number: 1

5. A CLI lista as configurações de acesso disponíveis. Insira o número da configuração desejada.

   Please choose an access configuration:
   1. <access-configuration1>
   2. <access-configuration2>
   Please input the access configuration number: 2

6. Defina a região e o idioma padrão. Por exemplo:

   Default Region Id []: cn-shanghai
   Default Language [zh|en] en: en

   Defina a região padrão como o local onde seus recursos estão hospedados. As regiões disponíveis estão listadas em Regiões e zonas de disponibilidade.

7. O terminal exibe Configure Done e uma mensagem de boas-vindas, indicando sucesso.

Execute aliyun sts get-caller-identity para verificar a credencial.

Renovação de credenciais

As credenciais do CloudSSO não são renovadas automaticamente. Após a expiração, execute aliyun configure --mode CloudSSO --profile <ProfileName> novamente para reconfigurar.

Pré-requisitos

• Você possui um programa ou script que gera uma credencial no seguinte formato JSON para a stdout:

  AccessKey

  {
    "mode": "AK",
    "access_key_id": "<yourAccessKeyID>",
    "access_key_secret": "<yourAccessKeySecret>"
  }

  STS token

  {
    "mode": "StsToken",
    "access_key_id": "<yourAccessKeyID>",
    "access_key_secret": "<yourAccessKeySecret>",
    "sts_token": "<yourSecurityToken>"
  }

• O programa deve sair com o código de status 0.

Configurar a credencial

aliyun configure set \
  --mode External \
  --profile ExternalProfile \
  --process-command "/path/to/credential-helper" \
  --region cn-shanghai

aliyun configure set `
  --mode External `
  --profile ExternalProfile `
  --process-command "/path/to/credential-helper" `
  --region cn-shanghai

aliyun configure --mode External --profile <ProfileName>

Execute aliyun sts get-caller-identity para verificar a credencial.

Renovação de credenciais

A CLI não armazena em cache nem renova credenciais External. Ela reexecuta o programa sempre que uma credencial é necessária.

Pré-requisitos

Você possui um endpoint HTTP(S) que retorna credenciais com HTTP 200 no seguinte formato JSON:

{
  "Code": "Success",
  "AccessKeyId": "<yourAccessKeyID>",
  "AccessKeySecret": "<yourAccessKeySecret>",
  "SecurityToken": "<yourSecurityToken>"
}

Configurar a credencial

Renovação de credenciais

Após a expiração da credencial, a CLI envia automaticamente uma nova solicitação GET para o endpoint. Seu endpoint deve retornar um token STS válido para cada solicitação.

Pré-requisitos

• Você possui um Bearer Token do serviço de destino.

• Você instalou o plugin da CLI para o produto de destino: aliyun plugin install --name <plugin-name>.

Configurar a credencial

aliyun configure set \
  --mode BearerToken \
  --profile BearerProfile \
  --bearer-token <your-bearer-token> \
  --region cn-shanghai

aliyun configure set \
  --mode BearerToken \
  --profile BearerProfile \
  --bearer-token <your-bearer-token> \
  --bearer-token-header-key <custom-header-name> \
  --region cn-shanghai

Verifique a credencial chamando uma API por meio do plugin do produto:

aliyun <command> <sub-command> --profile BearerProfile

Variáveis de ambiente

O método BearerToken oferece suporte às seguintes variáveis de ambiente:

aliyun configure delete --profile <ProfileName>